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(57) Abstract: The invention relates to an integrated circuit (1) provided with function modules (2) which comprise a central pro- 
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modules (2) comprise an encoding unit (6) for data encoding and decoding. 
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(57) Zusammenfassung: Die Erfindung betrifft einen Integrierten Schaltkreis (1) mit Funktionsmodulen (2), wobei die Funktions- 
module (2) eine zentrale Verarbeitungseinheit (4), mittels welcher Daten verarbeitbar und Programme ausfuhrbar sind, und einen 
Cachespeicher (5) umfassen. Die Gewa^hrleistung einer Manipulationssicherheit derartiger Module ist bislang sehr aufwendig und 
geht mit hohen Kosten einher. Hier schafft die Erfindung Abhilfe, indem die Funkti on s module (2) eine Verschlusselungseinheit (6) 
umfassen, mittels welcher Daten verse hi Usselbar und entschlusselbar sind. 
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Be s chreibung 

Anordnung mit einem integrierten Schaltkreis 

Die Erfindung betrifft eine Anordnung mit einem integrierten 
Schaltkreis und einen integrierten Schaltkreis mit Funktions- 
modulen, wobei die Funktionsmodule eine zentrale Verarbei- 
tungseinheit, mittels welcher Daten verarbeitbar und Program- 
me ausfuhrbar sind, und einen Cachespeicher umfassen. 

Anordnungen mit integrierten Schaltkreisen der vorbeschriebe- 
nen Art finden sich heutzutage nahezu in samtlichen 
Gebrauchsgegenstanden mit integrierter Elektronik. Gerate zur 
elektronischen Datenverarbeitung, Kommunikation Oder zur Auf- 
zeichnung von Daten weisen, je nach Art der behandelten Da- 
ten, Vorkehrungen auf, die den Lese-, Schreib- oder Ande- 
rungszugriff auf die Daten einschranken. Hierdurch sollen Da- 
ten vor offentlicher Zuganglichkeit oder Manipulation ge- 
schiitzt werden . Insbesondere im Bereich der zukunftigen 
Fahrtschreibergeneration, dem digitalen- Tachografen, ist ein 
Schutz der auf gezeichneten Daten gegen eine Manipulation von 
hochs ter Bedeutung . 

Bisherige manipulationssichere Systeme mit hohen Sicherheits- 
anforderungen bestehen regelmaMg aus mehreren diskreten Bau- 
gruppen, denen unterschiedliche Funktionen zugeordnet sind, 
beispielsweise sind eine zentrale Verarbeitungseinheit, eine 
Verschliisselungseinheit und verschiedene Speicher jeweils re- 
gelmaftig eine eigenstandige Einheit, die mit den ubrigen Ein- 
heiten in Verbindung steht. Das Erfordernis mehrerer Baugrup- 
pen und deren Zusammenstellung sowie Abstimmung aufeinander 
geht mit hohen Kosten in der Serienproduktion einher. 
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Ausgehend von den Problemen und Nachtedlen des Standes der 
Technik liegt der Erfindung die Aufgabe zugrunde, eine Anord- 
nung der eingangs genannten Art zu schaffen, welche hochsten 
Anforderungen der Manipulationssicherheit geniigt und gleich- 
zeitig eine Eignung fur die Serienproduktion bei geringeren 
Kosten aufweist. 

Die erfindungsgemafle Aufgabe wird mittels eines integrierten 
Schaltkreises der eingangs genannten Art gelost, welcher eine 
Verschlusselungseinheit als Funktionsmodul umfasst, mittels 
derer Daten oder Programmcode verschlusselbar und entschliis- 
selbar sind. 

Dadurch, dass eine Verschlusseiungseintieit als Funktionsmodul 
des integrierten Schaltkreises Element dieses Bauteiles ist, 
kann in der Fertigung und Entwicklung einer Anordnung mit ei- 
nem erf indungsgemofcen integrierten Schaltkreis die zusatzli- 
che Bereitstellung, Montage und Abstimmung auf umliegende 
Bauelemente eingespart werden . In synergetischer Weise ergibt 
sich der weitere grofie Vorteil, dass die Verschlusselungsein- 
heit von dem integrierten Schaltkreis, dessen Bestandteil sie 
ist, nur schwer zu trennen ist und daher Versuche der Manipu- 
lation zum Scheitern verurteilt sind. 

Die Manipulation eines erfindungsgeraaBen integrierten Schalt- 
kreises, insbesondere die Abtrennung einzelner Funktionsmodu- 
le, gestaltet sich besonders schwierig, wenn der integrierte 
Schaltkreis als Halbleiterchip ausgebildet ist, insbesondere, 
wenn einzelne Funktionsmodule puzzleartig ineinander greifen, 
in einer Weise, dass einzelne Funktionsmodule diskret nicht 
mehr erkennbar sind. Hier konnen besonders komplexe geometri- 
sche Verstrickungen gewahlt werden, so dass die miteinander 
vermischten Halbleiterstrukturen sich mittels einer Analyse 
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in Manipulationsabsicht nicht mehr als solche trennbar erken- 
nen lassen. 

Zusatzliche Sicherheit gegen Manipulation wird gewonnen, wenn 
die Funktionsmodule einen ersten Speicher umfassen f in wel- 
chem kryptologische Schlussel abgespeichert sind. Die Integ- 
ration eines solchen ersten Speichers erschwert einen geziel- 
ten Zugriff und ein gezieltes Auslesen der kryptologischen 
Schlussel - 

Der Aufwand fur eine Verwaltung kryptologisclier Schlussel 
durch den Hersteller der Gerate entfallt volJLstandig bei zu- 
satzlichem Sicherheitsgewinn, wenn die Funktionsmodule einen 
Zuf allszahlengenerator (RNG) umfassen, der d±e kryptologi- 
schen Schlussel gleichsam autonom erzeugt. Diese Schlussel 
konnen zweckmaiiig in dem ersten Speicher abgelegt werden. 

Mit Vorteil kann als weiteres Funktionsmodul eine Real-Time- 
Clock in den integrierten Schaltkreis eingegliedert werden, 
deren korrekte Funktion ebenfalls hohe Relevanz fur die Si- 
cherheit gegen Manipulation hat. 

Damit der Manipulationsangrif f nicht nur erschwert, sondern 
unmoglich gernacht wird, kann mit Vorteil eine Sicherheit ssen- 
sorik in dem Schaltkreis als Funktionsmodul integriert wer- 
den, mittels derer mindestens ein Betriebspaarameter des in- 
tegrierten Schaltkreises uberwachbar ist. Geeignete Betriebs- 
parameter fur die Uberwachung sind beispielsweise die Takt- 
frequeriz der Real-Time-Clock, der System- bzw. CPU-Takt, oder 
eine Betriebstemperatur, oder eine Betriebsspannung des in- 
tegrierten Schaltkreises, oder der Zustand einer Schutz- 
schicht auf dem integrierten Schaltkreis, oder eine Korabina- 
tion der vorgenannten Betriebsparameter - Ist der integrierte 
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Schaltkreis als Halbleiterbauelement ausgebildet, so 1st die 
Uberwachung des Zustandes einer Schutzschicht auf dem integ- 
rierten Schaltkreis besonders effektiv, da die Schutzschicht 
zerstort wer den muss r um mechanisch auf der Struktur des 
Halbleiterchips zuzugreifen. Hierbei ist es zweckraaLBig, wenn 
die Schutzschicht als aktive Schutzschicht ausgebildet und 
direkt auf dem Die des Halbleiterchips aufgebracht ist. Eine 
zweckmaiiige Weiterbildung sieht vor f dass die aktive Schutz- 
schicht aus mindestens einer langlichen elektrischen Leitung 
besteht, welche entlang der Oberflache des Dies, iosbesondere 
abschnittsweise in untereinander parallelen Bahnen verlauf t . 
Die Uberwachung kann beispielsweise eine Uberwachung des ohm- 
schen Widerstands der elektrischen Leitung sein, wobei zweck- 
maflig eine Anderung des Wider standswertes, die auf eine Zer- 
storung der elektrischen Leitung schlieflen lasst f eine Lo- 
schung der zu schiitzenden Daten bewirkt. Vorzugsweise wird 
der Mikrocontroller in einen gesicherten Zustand, beispiels- 
weise Reset r uberfiihrt, Auf diese Weise wird das System "in- 
tegrierter Schaltkreis" nach der Erfindung vergleichsweise 
eigensicher. 

Zweckmafcig gestaltet sich die Uberwachung des Betriebsparame- 
ters in der Weise, dass mindestens ein Grenzwert fiir den zu 
uberwachenden Betriebsparameter vorgegeben ist f derr Betriebs- 
parameter gemessen und mit dem Grenzwert verglichen wird und 
bei einem Oberschreiten oder Unterschreiten des Grenzwertes 
der Inhalt des ersten Speichers geloscht wird. Zweckmaflig ist 
der Grenzwert so zu wahlen, dass die Vorgaben des KFormalbe- 
triebs nicht zu einer Funktionsunterbrechung der Anordnung 
fuhren, beispielsweise im Automotive-Bereich bei einer Tempe- 
ratur von -40 °C noch keine Loschung der Daten erfolgt. 
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Die Handhabbarkeit und Sicherheit des erf indungsgemaflen in- 
tegrierten Schaltkreis es erhoht sich zusatzlich, wean er in 
einem Gehause angeordn.et ist und aus dem Gehause herausge- 
fuhrte Anschlusskontalete aufweist. Zum Zweck einer mechani- 
schen Manipulation mtis ste demgemafi zunachst das Gehause ge- 
off net werden. 

Eine hohere Integration des erf indungsgemafcen Schaltkrreises 
kann erreicht werden, -wenn einzelne Funktionsmodule eine im 
Wesentlichen flachige Erstreckung aufweisen und in Riohtung 
der Flachennormalen benachbart zueinander angeordnet sind. So 
kann zum Beispiel die zentrale Verarbeitungseinheit gestapelt 
rait verschiedenen Spei chern oder anderen Funktionsmodmlen an- 
geordnet werden. 
< 

Mit Vorteil konnen Ang-xiffe, die Ruckschliisse auf den Funkti- 
onszustand aus dem Verlialten des Versorgungsstromes des in- 
tegrierten Schaltkreis es schliefcen, abgewehrt werden, wenn 
die Funktionsmodule einen integrierten Spannungsregler: umfas- 
sen f der die Betriebsspannung regelt und auf diese Weise nach 
aufien hin diesen Betri ebsparanieter vergleichsweise veir- 
rauscht. 

Besondere Vorteile entzfaltet der erf indungsgemafce integrierte 
Schaltkreis in einer Axiordnung mit einem zweiten Speicher, 
der mittels eines Datexibusses mit dem erf indungsgemafien in- 
tegrierten Schaltkreis in Verbindung steht, in welchem zwei- 
ten Speicher Daten odex Programmcode verschliisselt abg*elegt 
sind und der Speicherzellen aufweist, welche jeweils eine 
Speicheradresse aufweisen und jede Speicherzelle direJtt le- 
send oder schreibend axigesprochen werden kann. Um die gesamte 
Anordnung gegenliber dem Aus fall einer externen Spannuagsver- 
sorgung abzusichern, ist es zweckmafiig, wenn sie mit einer 



WO 2005/098567 



PCT/EP2005/051072 



Batterie in Verbindung steht, so dass die Spannungsversorgrung 
bei einem Fehlen anderer Energieversorgung auf rechterhaltend 
ist. Insofern las sen sich auch Kosten einsparen, wenn der 
zweite Speicher kostengtinstig fluchtig ausgebildet und mit- 
tels der Batterie abgepuffert ist. 

Ersatzweise oder ±n Erganzung zu dem zweiten Speicher kann. 
ein dritter Speiclier zweckmaflig sein, der mit dem integrier- 
ten Schaltkreis inittels eines Datenbusses in Verbindung steht 
und nicht fluchtig- ausgebildet ist, insbesondere als Flash, 
oder ROM ausgebildet ist, wobei in dem dritten Speicher cLLe 
Daten oder Prograrnmcode vorzugsweise verschltisselt abgeleg*t 
sind. 

Besonders vorteill^af t ist eine Abpufferung der Sicherheits- 
sensorik mittels einer Batterie. Alternativ oder in Erganzung 
zu dieser Maftnahme* kann eine in dem Gehause integrierte 
Hilf senergiequelle, beispielsweise ein Kondensator, vorgese- 
hen sein, welcher die Energie im Falle eines registrierten 
Manipulationsversiaches zum Loschen der Speicher, insbesondere 
des ersteh Speichers f bereitstellt . 

Im Folgenden ist die Erf indung anhand eines speziellen Aus - 
fuhrungsbeispiels zur Verdeutlichung naher beschrieben. Neben 
diesem Ausfuhrungsbeispiel ergeben sich fur den Fachmann aus 
der hier beschrietoenen Erfindung zahlreiche andere Moglich- 
keiten der Gestalfcung. Insbesondere sind der Erfindung aucli 
Merkmalskombinationen zuzurechnen, welche sich aus Kombinai:i- 
onen der Anspruche ergeben, auch wenn kein ausdrucklicher 
dementsprechender Riickbezug angefuhrt ist- Es zeigen: 

Figur 1 eine sclxematische Darstellung einer erf indungsgerna- 

fien Anordnung. 
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Figur 1 zeigt einen integriertesn Schaltkreis 1 mit verschie- 
denen Funktionsmodulen 2, der mit externen Bauelementen 3 in 
Verbindung steht. Der integrierrte Schaltkreis weist neben ei- 
ner zentralen Verarbeitungseinlneit 4 noch weitere Funktions- 
module 2 auf , namlich einen Cachespeicher 5, eine Verschlus- 
selungseinheit 6, einen ersten Speicher 7, eine Real-Time- 
Clock 8 f einen Zuf allszahlengeraerator 80 und eine Sicher- 
heitssensorik 9. Daneben sind sin Spannungsregler 10 und eine 
Hilf senergiequelle 12 integrieirte Bauelemente des als Halb- 
leiterchip 13 ausgebildeten integrierten Schaltkreises 1- Die 
zentrale Verarbeitungseinheit verarbeitet Daten oder fuhrt 
Programme aus, welche sie mittels eines ersten Datenbusses 15 
aus dem Cachespeicher 5 ausliest. 

Der Cachespeicher 5 steht mit cier Verschlusselungseinheit 6 
mittels eines zweiten Datenbusses 16 in Verbindung. .Die Ver- 
schlusselungseinheit 6 liest ams dem zweiten oder dritten 
Speicher 40, 41 mittels des Adrress -Datenbusses 32 die ver- 
schlusselten Daten bzw. Code ed_n, entschliisselt sie mittels 
des im ersten Speicher 7 abgel&gten kryptograf ischen Schlus- 
sels 18 und schreibt sie in den. Cache bzw. in andere interne 
Register der zentralen Verarbei- tungseinheit 4. Die kryptolo- 
gischen Schlussel 18 sind zuvorr von dem Zufallszahlengenera- 
tor 80 erzeugt worden . Der Zuf a-llszahlengenerator 80 verwen- 
det zur Erzeugung der kryptogra-f ischen Schlussel 18 , welche 
im ersten Speicher 7 abgelegt sind beispielsweise die Start- 
werte aus den statistischen Sckwankungen (Rauschen) von in- 
ternen, physikalischen MessgroJS en, wie Chipteniperatur, Ver- 
sorgungsspannung, Taktf requenz . 

Die Sicherheitssensorik 9 uberwacht neben der Betriebstempe- 
ratur T, der Betriebsspannuhg IT , der Taktf requenz f auch den 
ohmschen Widerstand R einer Sch"utzschicht 2 0, welche aus zu- 
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einander im Wesentlichen paralleHen Bahnen einer elektrischen 
Leitung 21 besteht, die direkt auf dem Die des Halbleiter- 
chips 13 aufgebracht sind. Der gemessene Widerstand R wird 
permanent mit einem Grenzwert vearglichen, und bei Uberschrei- 
tung des Grenzwertes veranlasst ciie zentrale Verarbeitungs- 
einheit 4 die Loschung des erstem Speichers 7 , .wobei der in- 
tegrierte Schaltkreis 1 anschliei^end in einen gesicherten Zu- 
stand, beispielsweise Reset, iibenrfuhrt wird. 

Der integrierte Schaltkreis 1 ist .von einem Gehause 30 umge- 
ben, welches Anschlusskontakte 3ZL aufweist, die zumindest 
teilweise mit einem Adress-Datentous 32 in Verbindung stehen. 
Mittels des Adress-Datenbusses 32 tauscht der integrierte 
Schaltkreis 1 Daten mit einem zweiten Speicher 40 und einem 
dritten Speicher 41 aus. Der .zweoLte Speicher 40 ist als 
fliichtiges RAM ausgebildet und mittels einer Batterie 43 ge- 
gen Spannungs aus fall ebenso wie cier integrierte Schaltkreis 1 
abgesichert. Der dritte Speicher 41 ist nicht fluchtig als 
Flash Oder ROM ausgebildet. Die in dem zweiten Speicher 40 
und dritten Speicher 41 abgelegten Daten sind unter Verwen- 
dung der kryptologischen Senilis sel 18 verschliisselt und wer- 
den bei jedem Zugriff mittels derr Verschlusselungseinheit 6 
verschlusselt oder entschlusselt _ 



8 



WO 2005/098567 



PCT/EP2005/051072 



Patentanspruche 

1. Integrierter Schaltkreis (1) mit Funlktionsmodulen (2), 
wobei die Funktionsmodule (2) eine zentrale Verarbei- 
tungseinheit (4) , mittels welcher Da-ten verarbeitbar und 
Programme ausftihrbar sind, und einen Cachespeicher (5) 
umfassen, d a d u r c h gekennzeichnet, 
dass die Funktionsmodule (2) eine Verrschlusselungsein- 
heit (6) umfassen, mittels welcher Daten verschlusselbar 
und entschlusselbar sind. 

2. Integrierter Schaltkreis (1) nach Anspruch 1, d a - 
durch gekennzeichnet r dass die Funkti- 
onsmodule einen Zuf allszahlengenerator (80) umfassen. 

3. Integrierter Schaltkreis (1) nach Anspruch 1, d a - 
durch gekennzeichnet, dass die Funkti- 
onsmodule (2) einen ersten Speicher <7) umfassen, in 
welchem kryptologische Schliissel (18) abgespeichert 
sind. 

4. Integrierter Schaltkreis (1) nach Anspruch 2 und 3, 
dadu'rch gekennzeichnett, dass krypoto- 
logische Schliissel (18), welche in de^m ersten Spei- 
cher (7) abgespeichert sind, mittels des Zuf allszahlen- 
generators (80) erzeugt sind. 

5. Integrierter Schaltkreis (1) nach Anspruch 1, d a - 
durch gekennzeichnet, dass die Funkti- 
onsmodule (2) eine Real-Time-Clock (8) umfassen. 

6. Integrierter Schaltkreis (1) nach Anspruch 1, d a - 
durch gekennzeichnet, dass die Funkti- 
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onsmodule (2) eine Sicherheitssensorik (9), mittels de- 
rer mindestens ein Betriebsparameter (f , T, U) des in- 
tegrierten Schaltkreises (1) iiberwachbar ist^ umfassen. 

Integrierter Schaltkreis (1) nach Anspruch 6 r d a - 
durch gekennzeichnet, dass dLer Be- 
triebsparameter (f, T, U) die Taktfrequenz (f) der Real- 
Time-Clock (8) und/oder eine Betriebstemperatiir (T) an 
einer Stelle des Integrierten Schaltkreises <1) und/oder 
eine Betriebsspannung (U) des integrierten Schaltkrei- 
ses (1) und/oder der Zustand einer SchutzschdLcht (2 0) 
auf dem Integrierten Schaltkreis (1) ist. 

Integrierter Schaltkreis (1) nach Anspruch 6 r d a - 
durch gekennzeichnet, dass ftir den zu 
iiberwachenden Betriebsparameter (f, T, U) mindestens ein 
Grenzwert vorgegeben ist, der Betriebsparameter (f, T, 
U) gemessen wird und mit dem Grenzwert vergljLchen wird 
und bei einem Uberschreiten oder Unterschreiten des 
Grenzwertes der Inhalt des ersten Speichers g-eloscht 
wird. 

Integrierter Schaltkreis (1) nach Anspruch 1, d a - 
durch gekennzeichnet, dass e:r in einem 
Gehause (30) angeordnet ist und aus dem Gehau.se (30) 
herausgefiihrte Anschlusskontakte (31) aufweist. 

Integrierter Schaltkreis (1) nach Anspruch 1, d a - 
durch gekennzeichnet, dass einzelne 
Funktionsmodule (2) eine im Wesentlichen flachige Er- 
streckung aufweisen und in Richtung der Flach_ennormalen 
benachbart zueinander angeordnet sind. 
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11. Integrierter Schaltkreis (1) nach Anspruch 1, d a - 
durch gekennzeichnet, dass die Funkti- 
onsmodule (2) einen integrierten Spannungsregler umfas- 
sen, welcher eine Betriebsspannung (U) regelt. 

12. Integrierter Schaltkreis (1) nach Anspruch 1, d a - 
durch gekennzeichnet, dass er als Halb- 
leiterchip (13) ausgebildet ist. 

13. Integrierter Schaltkreis (1) nach Anspruch 12, d a - 
durch gekennzeichnet, dass Halbleiter- 
strukturen der einzelnen Funktionsmpdule (2) puzzleartig 
ineinander greifen, zur Vermeidung, dass einzelne Funk- 
tionsmodule (2) erkennbar sind. 

14. Integrierter Schaltkreis (1) nach Anspruch 12, d a - 
durch gekennzeichnet, dass direkt auf 
dem Die des Halbleiterchips (13) eine aktive Schutz- 
schicht (20) aufgebracht ist, welche aus mindestens ei- 
ner langlichen elektrischen Leitung (21) besteht, welche 
entlang der Oberflache des Dies, insbesondere ab- 
schnittsweise in zueinander parallelen Bahnen verlauft. 

15. Anordnung mit einem integrierten Schaltkreis (1) nach 
einem der Anspruche 1 bis 14, dadurch ge- 
kennzeichnet, dass der integrierte Schalt- 
kreis (1) mittels eines Datenbusses (32) mit einem zwei- 
ten Speicher (40) [RAM] in Verbindung steht, in welchem 
Daten verschliisselt abgelegt sind, wobei der zweite 
Speicher (40) Speicherzellen aufweist, welche jeweils 
eine Speicheradresse aufweisen und jede Speicherzelle 
direkt lesend oder schreibend angesprochen werden kann. 
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16. Anordnung mit einem integrierten Schal-fckreis (1) nach 
einem der Anspruche 1 bis 14, d a d u :r c h g e - 
kennzeichnet, dass der zweite Speicher (40) 
fluchtig ist und mit einer Batterie (43) in Verbindung 
steht, so dass die Spannungsversorgung bei einem Fehlen 
anderer Energieversorgung aufrechterhaZLten ist. 

17. Anordnung mit einem integrierten Schaltkreis (1) nach 
einem der Anspruche 1 bis 14, daduarch g e - 
kennzeichnet, dass der integrxierte Schalt- 
kreis (1) mittels eines Datenbusses (32) mit einem 
nichtf luchtigen dritten Speicher (41) , insbesondere ei- 
nem Flash oder ROM in Verbindung steht ^ in welchem Daten 
Oder Programmcode verschlusselt abgelegt sind. 

18. Anordnung mit einem integrierten Schalfckreis (1) nach 
Anspruch 6, dadurch gekennzeichnet, 
dass die Sicherheitssensorik (9) mit einer Batterie (43) 
in Verbindung steht, so dass die Spannungsversorgung bei 
einem Fehlen anderer Energieversorgung auf rechterhalten 
ist. 

19. Anordnung mit einem integrierten Schaltkreis (1) nach 
Anspruch 6, dadurch gekennzeichnet, 
dass die Sicherheitssensorik (9) mit elner in dem Gehau- 
se (30) integrierten Hilf senergiequelle* (12) in Verbin- 
dung steht, welche die Energie zum Loscrhen ersten Spei- 
chers (7) bereitstellt . 
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